(57)【要約】【課題】本発明の課題は、画像処理装置の各機能の利用制限と、処理速度を低下させることなくリアルタイムでの紙原稿の処理制御と、後で文書の内容を解析しその結果に応じた後処理の実行とをセキュリティポリシーに基づいて統一的に制御するドキュメントセキュリティシステムを提供することを目的とする。【解決手段】本発明の課題は、機器に対するユーザの利用権限に基づいて許可され、かつ、ドキュメントに対するユーザの利用権限に基づいて許可される場合に該ユーザによって要求された処理を実行し、該ドキュメントの画像データから取得したドキュメントの種別に応じた事後責務を実行するドキュメントセキュリティシステムによって達成される。【選択図】図４
2007299322.tif 000002
【特許請求の範囲】
【請求項１】
ユーザからドキュメントに対する処理要求を受信する受信手段と、
機器の利用権限を定義しているデバイスセキュリティポリシーを参照することによって、前記ユーザが持っている利用権限によって前記要求された処理が許可又は不許可であるかを判定して第一の判定結果を取得する第一の判定結果取得手段と、
紙原稿をスキャンして得られた画像データから該紙原稿に付加された識別情報を取得して、該識別情報に基づいて該紙原稿の種別を判別する紙原稿種別判別手段と、
ドキュメントの利用権限を定義しているドキュメントセキュリティポリシーを参照することによって、前記紙原稿種別判別手段によって判別された前記紙原稿の種別に対して、前記ユーザが持っている利用権限によって前記処理要求で要求された処理が許可又は不許可であるかを判定して第二の判定結果を取得する第二の判定結果取得手段と、
前記第一の判定結果と前記第二の判定結果の双方が許可を示す場合、前記要求された処理を実行する処理実行手段と、
前記紙原稿をスキャンして得られた前記画像データを解析する解析手段と、
前記解析手段によって得られた情報に基づいて前記ドキュメントセキュリティポリシーに従った処理を、前記要求された処理の実行後の事後責務として行う事後責務実行手段とを有することを特徴とするドキュメントセキュリティシステム。
【請求項２】
前記第一の判定結果と前記第二の判定結果とが共に許可を示す場合に、所定の合成ルールに従って該第一の判定結果に含まれる責務と該第二の判定結果に含まれる責務とを合成する責務合成手段を有することを特徴とする請求項１記載のドキュメントセキュリティシステム。
【請求項３】
前記責務合成手段によって合成された責務が実行できない場合、前記要求された処理を抑止することを特徴とする請求項３記載のドキュメントセキュリティシステム。
【請求項４】
前記ドキュメントに対する処理要求が、紙原稿に対するコピー、スキャン、又はファックス送信を行う処理を要求していることを特徴とする請求項１乃至３のいずれか一項記載のドキュメントセキュリティシステム。
【請求項５】
紙原稿をスキャンした時にスキャンして得られた画像データから該紙原稿に付加された識別情報を取得して、その識別情報に基づいて該紙原稿の種別をリアルタイムに判別するリアルタイム紙原稿判別手段と、
ドキュメントの利用権限を定義しているドキュメントセキュリティポリシーを参照することによって、前記リアルタイム紙原稿判別手段によって判別された前記紙原稿の種別に対して、前記ユーザが持っている利用権限によって前記処理要求で要求された処理が許可又は不許可であるかを判定するドキュメント利用権判定手段と、
前記ドキュメント利用権判定手段による判定結果に基づいて前記紙原稿に対する処理内容を変更して処理する紙原稿処理手段と、
前記紙原稿に対する処理内容を含む詳細ポリシー判定処理要求を所定の送信先に送信する紙原稿詳細ポリシー判定処理要求手段とを備えることを特徴とするデジタル複合機。
【請求項６】
紙原稿をスキャンした時にスキャンして得られた画像データから該紙原稿に付加された識別情報を取得して、その識別情報に基づいて該紙原稿の種別をリアルタイムに判別するリアルタイム紙原稿判別手順と、
ドキュメントの利用権限を定義しているドキュメントセキュリティポリシーを参照することによって、前記リアルタイム紙原稿判別手順によって判別された前記紙原稿の種別に対して、前記ユーザが持っている利用権限によって前記処理要求で要求された処理が許可又は不許可であるかを判定するドキュメント利用権判定手順と、
前記ドキュメント利用権判定手順による判定結果に基づいて前記紙原稿に対する処理内容を変更して処理する紙原稿処理手順と、
前記紙原稿に対する処理内容を含む詳細ポリシー判定処理要求を所定の送信先に送信する紙原稿詳細ポリシー判定処理要求手順とをコンピュータに実行させることを特徴とする紙原稿処理プログラム。
【請求項７】
外部から文書内容を含むポリシー処理要求を受け付けるポリシー処理要求受付手段と、
前記ポリシー処理要求受付手段によって受け付けた前記文書内容のセキュリティ属性を推定するセキュリティ属性推定手段と、
前記推定されたセキュリティ属性に基づいてセキュリティポリシーの判定を行うポリシー判定手段と、
前記ポリシー判定手段による判定結果に含まれる責務を実行する責務実行手段とを備えることを特徴とするポリシーサーバ。
【請求項８】
前記ポリシー処理要求受付手段は、外部から前記文書要求と文書属性とを含むポリシー処理要求を受け付け、
前記文書属性に基づいてセキュリティポリシーの判定をリアルタイム行って、その判定結果を前記ポリシー処理要求を送信した要求元に返すリアルタイムポリシー判定手段を更に備えることを特徴とする請求項７記載のポリシーサーバ。
【請求項９】
外部から文書内容を含むポリシー処理要求を受け付けるポリシー処理要求受付手順と、
前記ポリシー処理要求受付手順によって受け付けた前記文書内容のセキュリティ属性を推定するセキュリティ属性推定手順と、
前記推定されたセキュリティ属性に基づいてセキュリティポリシーの判定を行うポリシー判定手順と、
前記ポリシー判定手順による判定結果に含まれる責務を実行する責務実行手順とをコンピュータに実行させることを特徴とするポリシーサーバプログラム。
【請求項１０】
前記ポリシー処理要求受付手順は、外部から前記文書要求と文書属性とを含むポリシー処理要求を受け付け、
前記文書属性に基づいてセキュリティポリシーの判定をリアルタイム行って、その判定結果を前記ポリシー処理要求を送信した要求元に返すリアルタイムポリシー判定手順を更にコンピュータに実行させることを特徴とする請求項９記載のポリシーサーバプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、機器に対するユーザの利用権限に基づいて許可され、かつ、ドキュメントに対するユーザの利用権限に基づいて許可される場合に該ユーザによって要求された処理を実行し、該ドキュメントの画像データから取得したドキュメントの種別に応じた事後責務を実行するドキュメントセキュリティシステムを提供するものである。
【背景技術】
【０００２】
近年、情報セキュリティの重要性が認識され、企業秘密の管理を強化するニーズが高まっている。パソコン上で扱う電子文書だけでなく、それを印刷したドキュメントやＦＡＸで送受信するようなドキュメントについても同様にセキュリティを確保することが重要となってきている。
【０００３】
特に、紙文書と電子文書の入出力を処理するような画像処理に係る複数の機能を備えた画像処理装置において、その取り扱うドキュメントのセキュリティを確保したいというニーズが高まってきている。
【０００４】
特許文献１、２、及び非特許文献１では、機密文書を印刷する際にセキュリティポリシーに従って自動的に識別パターンを背景に印字し、その印刷された機密文書を画像処理装置で複写又はスキャン等しようとした際に、画像処理装置でその紙の背景パターンを識別し、その紙に対して複写又はスキャンしてよいかどうかをセキュリティポリシーに従って判断して複写又はスキャンを制御するシステムが考案されている。
【０００５】
特許文献３では、画像処理装置でコピー、スキャン、ＦＡＸ送信等を行う際に、スキャンされた画像データに特定の背景パターンが入っているかどうかを画像マッチングにより瞬時に判定し、その判定結果に応じてコピー、スキャン、ＦＡＸ送信の処理を制御する方式が考案されている。
【０００６】
特許文献４では、不正コピーガードのパターンと、バーコード読み取りを組み合わせて画像処理装置の処理に多様性を持たせるものについて考案されている。
【０００７】
非特許文献２では、コピー、プリント、スキャンといった機能について、誰がその機能を利用できるのかを管理者が設定して機能の利用制限ができるようになっている。
【０００８】
非特許文献３では、コピーの際に特殊なマスクパターンを検出すると画像を破壊して出力することができる。
【特許文献１】特開２００５−０３８３７２号公報
【特許文献２】特開２００４−１５２２６１号公報
【特許文献３】特開２００４−２００８９７号公報
【特許文献４】特開２００５−０７２７７７号公報
【非特許文献１】金井、斉藤、“ポリシーに従って紙・電子ドキュメントのセキュリティを確保するシステムの開発”、ＩＰＳＪ Symposium Series Ｖｏｌ．２００４、 Ｎｏ．１１、ｐｐ．６６１−６６６
【非特許文献２】“機能利用制限による不正利用防止システム”、［online］、［２００５年７月５日検索］、インターネット＜ＵＲＬ：http://www.ricoh.co.jp/imagio/neo_c/455/point/point6.html＞
【非特許文献３】“不正コピーガード機能”、［online］、［２００５年７月５日検索］、インターネット＜ＵＲＬ：http://www.ricoh.co.jp/imagio/neo/753/point/point4.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００９】
非特許文献６では、画像処理装置でドキュメントを取り扱う際にセキュリティを確保するシステムにおいて、画像処理装置のコピー、ＦＡＸ、プリンタ、スキャナといった機能を特定のユーザにしか使わせないように機能の利用制限をしている。
【００１０】
しかし、この方法では，コピーが許可されているユーザは、たとえ機密文書であっても自由にコピーができてしまうため、機密文書のセキュリティを確保するには十分ではない。
【００１１】
また、特許文献３及び特許文献４では、機密文書を印刷する際には特殊な背景パターンを印刷するようにし、画像処理装置においてその特殊なパターンが埋め込まれた原稿をコピーしようとすると、原稿のイメージを読み取った際にその特殊なパターンが入っていることをリアルタイムに検出できる。また、その検出した結果に応じて出力するイメージを変更する、例えば、非特許文献３では、一面グレーで出力している。
【００１２】
しかし、これらの方法では、取り扱える機密文書の種類の数が特殊な背景パターンの種類の数に限定されてしまう。従って、例えば、機密レベル「マル秘」に対応する特殊パターンが入っている場合には管理職以上のユーザしかコピーできない、といった適用の仕方はできるが、個々の機密文書によってコピーしてよいユーザが様々に異なるような場合には機密文書が増えると特殊パターンの種類が足りなくなってしまい適用しにくかった。
【００１３】
一方、非特許文献１及び特許文献１では、画像処理装置で紙原稿をコピーする際に、その紙原稿の背景に埋め込まれている追跡ＩＤを検出して、その追跡ＩＤについてサーバに問い合わせてコピーの可否を判断している。
【００１４】
しかし、リモートのサーバに問い合わせる方式であるため、生産性の高い高速な画像処理装置において毎分１００ページ以上のスピードで追跡ＩＤの識別とコピー可否の問い合わせをリアルタイムで行うのは非常に難しいという問題があった。
【００１５】
また、特許文献２では、機密文書として暗号化保護されている電子文書を印刷する際にセキュリティポリシーに従って強制的に特定の印刷方式、例えば、識別パターンを背景に重畳するような印刷を可能としている。
【００１６】
しかし、機密文書として指定されて暗号化保護されている文書以外の文書（例えば、機密情報を含むドラフト段階の文書）については、印刷する際に識別パターンが印刷されないため、その印刷物は機密情報が含まれているにもかかわらず画像処理装置でコピーする際にも普通の原稿としてコピーができるという問題があった。
【００１７】
そこで、本発明の課題は、画像処理装置の各機能の利用制限と、処理速度を低下させることなくリアルタイムでの紙原稿の処理制御と、後で文書の内容を解析しその結果に応じた後処理の実行とをセキュリティポリシーに基づいて統一的に制御するドキュメントセキュリティシステムを提供することである。
【課題を解決するための手段】
【００１８】
上記課題を解決するため、本発明は、ユーザからドキュメントに対する処理要求を受信する受信手段と、機器の利用権限を定義しているデバイスセキュリティポリシーを参照することによって、前記ユーザが持っている利用権限によって前記要求された処理が許可又は不許可であるかを判定して第一の判定結果を取得する第一の判定結果取得手段と、紙原稿をスキャンして得られた画像データから該紙原稿に付加された識別情報を取得して、該識別情報に基づいて該紙原稿の種別を判別する紙原稿種別判別手段と、ドキュメントの利用権限を定義しているドキュメントセキュリティポリシーを参照することによって、前記紙原稿種別判別手段によって判別された前記紙原稿の種別に対して、前記ユーザが持っている利用権限によって前記処理要求で要求された処理が許可又は不許可であるかを判定して第二の判定結果を取得する第二の判定結果取得手段と、前記第一の判定結果と前記第二の判定結果の双方が許可を示す場合、前記要求された処理を実行する処理実行手段と、前記紙原稿をスキャンして得られた前記画像データを解析する解析手段と、前記解析手段によって得られた情報に基づいて前記ドキュメントセキュリティポリシーに従った処理を、前記要求された処理の実行後の事後責務として行う事後責務実行手段とを有するように構成される。
【００１９】
このようなドキュメントセキュリティシステムでは、画像処理装置の各機能の利用制限と、処理速度を低下させることなくリアルタイムでの紙原稿の処理制御と、後で文書の内容を解析しその結果に応じた後処理の実行とをセキュリティポリシーに基づいて統一的に制御することができる。
【００２０】
また、上記課題を解決するため、本発明は、デジタル複合機において、紙原稿をスキャンした時にスキャンして得られた画像データから該紙原稿に付加された識別情報を取得して、その識別情報に基づいて該紙原稿の種別をリアルタイムに判別するリアルタイム紙原稿判別手段と、ドキュメントの利用権限を定義しているドキュメントセキュリティポリシーを参照することによって、前記リアルタイム紙原稿判別手段によって判別された前記紙原稿の種別に対して、前記ユーザが持っている利用権限によって前記処理要求で要求された処理が許可又は不許可であるかを判定するドキュメント利用権判定手段と、前記ドキュメント利用権判定手段による判定結果に基づいて前記紙原稿に対する処理内容を変更して処理する紙原稿処理手段と、前記紙原稿に対する処理内容を含む詳細ポリシー判定処理要求を所定の送信先に送信する紙原稿詳細ポリシー判定処理要求手段とを備えるように構成してもよい。
【００２１】
更に、上記課題を解決するため、本発明は、ポリシーサーバにおいて、外部から文書内容を含むポリシー処理要求を受け付けるポリシー処理要求受付手段と、前記ポリシー処理要求受付手段によって受け付けた前記文書内容のセキュリティ属性を推定するセキュリティ属性推定手段と、前記推定されたセキュリティ属性に基づいてセキュリティポリシーの判定を行うポリシー判定手段と、前記ポリシー判定手段による判定結果に含まれる責務を実行する責務実行手段とを備えるように構成してもよい。
【発明の効果】
【００２２】
本発明によれば、画像処理装置の各機能の利用制限と、処理速度を低下させることなくリアルタイムでの紙原稿の処理制御と、後で文書の内容を解析しその結果に応じた後処理の実行とをセキュリティポリシーに基づいて統一的に制御することができる。
【発明を実施するための最良の形態】
【００２３】
以下、本発明の実施の形態を図面に基づいて説明する。
【００２４】
図１は、本発明の一実施例に係るドキュメントセキュリティシステムのネットワーク構成を示す図である。
【００２５】
図１において、ドキュメントセキュリティシステム１００は、一般ユーザが電子文書１ａを使用するためのユーザ端末１と、紙文書２ｃが出力されるプリンタ２と、例えば、紙原稿３ａをコピー、スキャン、ファックス送信などするための画像処理に係る複数の機能を備えた画像処理装置としてのデジタル複合機３と、通報メール４ｅの宛て先となるシステムの管理者が使用する管理者端末４と、バックエンドで稼動するサーバ群としてユーザ認証サーバ１０と、ポリシーサーバＡ１０と、ポリシーサーバＢ３０と、コンテンツ解析サーバ４０とで構成され、各装置は、ネットワーク７を介して相互に通信可能である。
【００２６】
ユーザ認証サーバ１０は、ユーザ認証情報を管理するとともに、ユーザ認証処理を行うサーバである。ポリシーサーバＡ２０は、ドキュメントの権限管理をするためのドキュメントセキュリティポリシー２１が設定されるサーバであり、ポリシーサーバＢ３０は、デバイスの権限管理をするためのデバイスセキュリティポリシー３１が設定されるサーバである。コンテンツサーバ４０は、オリジナルのデジタル文書を管理するサーバである。
【００２７】
ユーザ端末１、プリンタ２、デジタル複合機３、管理者端末４、ユーザ認証サーバ１０、ポリシーサーバＡ２０、ポリシーサーバＢ３０、そしてコンテンツ解析サーバ４０は、夫々、少なくともＣＰＵ（Central Processing Unit）と、メモリユニットと、後述される種々のプログラムを記憶するための記憶装置と、ネットワーク７を介して通信するための通信ユニットと、入力ユニットと、表示ユニットとを備えている。
【００２８】
図１では、役割ごとにすべて別々の機器として示しているが、例えば、ユーザ端末１と管理者端末４は、同じ機器であっても良いし、プリンタ２とデジタル複合機３とは同じ機器であっても良いし、ポリシーサーバＡ２０とポリシーサーバＢ３０とユーザ認証サーバ１０とが同じサーバ装置に備えられていても良い。
【００２９】
デジタル著作権管理（ＤＲＭ：Digital Rights Management）システムを拡張したシステムとして実施すると最も高い効果を発揮するため、本実施例では、ＤＲＭシステムをベースとするシステムで説明する。
【００３０】
まず、ドキュメントセキュリティシステム１００の全体の処理フローについて図２、図３、及び図４で説明する。図２は、オリジナル文書を保護するための処理フローを示す図である。図２において、ユーザ端末１が、オリジナル文書１ｂを機密文書であることを示す「マル秘」の文書として暗号化保護するようにポリシーサーバA２０に送信すると（ステップＳ１）、ポリシーサーバA２０は、受け取ったオリジナル文書１ｂを暗号化した保護済み文書１ｃを生成する。更に、ポリシーサーバA２０は、コンテンツ解析サーバ４０にオリジナル文書１ｂの内容（コンテンツ）を登録しておく（ステップＳ２）。そして、ポリシーサーバA２０は、保護済み文書１ｃを処理結果としてユーザ端末１に送信する（ステップＳ３）。
【００３１】
コンテンツ解析サーバ４０へのオリジナル文書１ｂの内容の登録では、ポリシーサーバA２０は、オリジナル文書１ｂとセキュリティ属性（文書IDや機密レベルなど）とを登録し、コンテンツ解析サーバ４０は、オリジナル文書１ｂからテキストを抽出するなどの処理を行う。
【００３２】
図３は、保護済み文書を印刷するための処理フローを示す図である。図３において、ユーザ端末１から保護済み文書１ｂを印刷しようとすると、まずユーザ認証サーバ１０でユーザ認証を行い（ステップＳ１１）、ユーザ端末１のユーザがその保護済み文書１ｂを印刷する権限を持っているかどうかをポリシーサーバA２０に確認する（ステップＳ１２）。ユーザに権限があれば、ポリシーサーバA２０から復号鍵がユーザ端末１へと返送される。
【００３３】
ユーザ端末１では、ドキュメントセキュリティポリシー２１で指示されたセキュリティ印刷処理を適用してプリンタ２に保護済み文書１ｃを印刷した紙文書２ｃを出力する（ステップＳ１３）。
【００３４】
この際、ドキュメントセキュリティポリシー２１に「不正コピーガード印刷」というようなセキュリティ印刷を予め定義しておくことによって、背景に特別なパターンが合成されたプリントアウトを得ることができる。
【００３５】
図４は、紙原稿をコピー、スキャン、又はＦＡＸ送信を行う場合の処理フローを示す図である。図４において、紙原稿３ａをデジタル複合機３でスキャン（或いは、コピー又はＦＡＸ送信）しようとすると（ステップＳ２１）、ユーザ認証サーバ１０でユーザ認証を行い（ステップＳ２２）、デジタル複合機３は、そのユーザがそのデジタル複合機３でスキャンしてよいかどうかを示す利用権限をポリシーサーバB３０に確認する（ステップＳ２３）。デジタル複合機３は、権限があれば、スキャン処理を実行し、スキャンした画像データに特別なパターンが合成されていればそれを検出する。
【００３６】
デジタル複合機３は、そのユーザがそのパターンが合成された紙原稿３ａをスキャンしてよいかどうかをポリシーサーバA２０に確認し（ステップＳ２４）、許可されていればスキャン画像ファイルをユーザに指定された宛先へ出力する。
【００３７】
そして、ポリシーサーバA２０は、紙原稿３ａをスキャンして得られたスキャン画像データの内容解析をコンテンツ解析サーバ４０に依頼する（ステップＳ２６）。その結果、本来はスキャンを不許可すべき文書であったことが判明した場合にはポリシーに従って通報メール４ｅを管理者に送信する（ステップＳ２７）。
【００３８】
このように、本発明では、紙原稿３ａに対する処理を行う際にはリアルタイムにポリシーを確認し、更に、紙原稿３ａに対する処理後の後解析によってもう一度ポリシーを確認する。
【００３９】
オリジナル文書１ｂを保護するための構成について図５及び図６で説明する。図５は、オリジナル文書を保護するための構成を示す図である。図６は、文書保護プログラムによる保護済み文書の生成する処理の概要を説明するための図である。
【００４０】
図５において、ポリシーサーバＡ２０は、ドキュメントセキュリティポリシー２１と、文書保護プログラム２０ｐと、ポリシーサーバＡプログラム２２と、ドキュメントセキュリティ属性ＤＢ２４とを有する。また、コンテンツ解析サーバ４０は、コンテンツ解析プログラム４２と、コンテンツ登録ＤＢ４４とを有する。
【００４１】
ユーザ９は、オリジナル文書１ｂと、その文書に付与するセキュリティ属性を文書保護プログラム２０ｐに送信する（ステップＳ５１）。セキュリティ属性は、例えば、その文書が所属するドメインと、文書のカテゴリ、機密レベル、そしてその文書の関係者を示す情報などである。
【００４２】
文書保護プログラム２０ｐは、図６に示すように、暗号化キー及び復号化キーを生成し、その暗号化キーを使ってオリジナル文書を暗号化した暗号化文書２２ｃを生成する。そして、文書を特定するためのユニークな文書ＩＤを生成して、それを暗号化文書２２ｃに付加して保護済み文書１ｃとする。
【００４３】
そして、文書保護プログラム２０ｐは、文書ＩＤと復号化キーとセキュリティ属性とをポリシーサーバＡプログラム２３に登録する（ステップＳ５２）。更に、文書保護プログラム２０ｐは、文書ＩＤ及びセキュリティ属性と、オリジナル文書１ｂとをコンテンツ解析サーバ４０のコンテンツ解析プログラム４２に送信してオリジナル文書１ｂの内容をコンテンツ登録ＤＢ４４に登録し（ステップＳ５３）。最後に、文書保護プログラム２０ｐは、保護済み文書１ｃをユーザ９に送信する（ステップＳ５４）。
【００４４】
このような仕組みにすることで、機密文書を暗号化して保護すると同時に、どのような文書の内容がどういう文書カテゴリ・機密レベルに相当するのかを示す関連付け情報がコンテンツ登録ＤＢ４４に蓄積される。
【００４５】
上述より、保護済み文書１ｃを生成するまでのプロセスがすべて完了となる。この後、ユーザ９は保護済み文書１ｃを他のユーザ９に渡すことができる。
【００４６】
以下、ユーザ９が保護済み文書１ｃを受け取って，その保護済み文書１ｃにアクセスする際の処理について説明する。図７は、保護済み文書にアクセスする処理について説明するための図である。
【００４７】
図７において、ユーザ９は、ユーザ端末１からユーザ認証情報（例えばユーザ名、パスワード等）と、保護済み文書１ｃのファイルとを入力して表示又は印刷を指示する（ステップＳ７１）。
【００４８】
ユーザ端末１内部で稼動する文書表示・印刷プログラム１ｐは、ユーザ認証情報をユーザ認証サーバ１０へ送信する（ステップＳ７２）。ユーザ認証サーバ１０内部で稼動するユーザ認証プログラム１２は、ユーザ管理ＤＢ１４を参照して、ユーザ認証情報に基づいてユーザ９を認証して、そのユーザ認証結果をユーザ端末１へ送信する（ステップＳ７３）。
【００４９】
ユーザ端末１の文書表示・印刷プログラム１ｐは、入力された保護済み文書１ｃのファイルに付加されている文書ＩＤを取得し、その文書ＩＤと、ユーザ認証サーバ１０から受信したユーザ認証結果と、要求されたアクセスの種別（表示や印刷）とをポリシーサーバＡ２０に送信する（ステップＳ７４）。
【００５０】
ポリシーサーバＡ２０内部で稼動するポリシーサーバＡプログラム２２は、ドキュメントセキュリティポリシー２１とセキュリティ属性ＤＢ２４とを参照することによって、文書ＩＤと、ユーザ認証結果と、アクセス種別とに基づいて、保護済み文書１ｃへのユーザ９のアクセスに対する許可／不許可の判断結果と責務とを決定する。そして、ポリシーサーバＡプログラム２２は、許可／不許可の判断結果と責務と、保護済み文書１ｃへのユーザ９のアクセスを許可する場合には保護済み文書１ｃの復号化キーとをユーザ端末１へ送信する（ステップＳ７５）。
【００５１】
そして、文書表示・印刷プログラム１ｐは、ポリシーサーバＡプログラム２２からそのアクセスについての許可／不許可の判断結果と責務とを受信し、更に許可されている場合には復号化キーを受け取る。
【００５２】
不許可だった場合には、文書表示・印刷プログラム１ｐは、許可されていない旨をユーザ９に示して終了する。許可されていた場合には、文書表示・印刷プログラム１ｐは受け取った復号化キーを用いて保護済み文書１ｃの中の暗号化文書部分を復号してオリジナル文書１ｂとし、そのオリジナル文書１ｂをレンダリングするなどして要求されたアクセスを処理する（ステップＳ７６及びＳ７７）。その際、ポリシーサーバＡプログラム２２から責務を受け取っていれば、その責務に対応する処理を実行する。アクセス種別が表示であれば、保護済み文書１ｃがユーザ端末１に表示され、アクセス種別が印刷であれば、ユーザ端末１はプリンタ２へ文書内容の印刷を指示して、その文書内容を出力する。
【００５３】
ここに記載した文書表示・印刷プログラム１ｐの一連の流れの内部処理については、特開２００４−１５２２６１号公報で開示される仕組みがそのまま適用できるため、例えばポリシーサーバＡプログラム２２に設定するドキュメントセキュリティポリシー２１として、機密文書を印刷する際には「追跡パターンを背景に合成して印刷する」という責務（特開２００４−１５２２６１号公報では要件（requirement）に相当）を設定しておくようにする。
【００５４】
この場合、ユーザ９がユーザ端末１から印刷を要求した際に、ポリシーサーバＡプログラム２２からポリシー判定結果として追跡パターン合成印刷という責務が返され、文書表示・印刷プログラム１ｐは、プリンタ２に出力する際に追跡パターンを合成して出力するようになる。
【００５５】
従って、そのプリントアウトされた紙文書２ｃをデジタル複合機３でコピー、スキャン、ＦＡＸ送信する際に、その紙文書２ｃが機密文書であることを特定できるようになる。
【００５６】
コピー、スキャン、ＦＡＸ送信のいずれの場合においても、デジタル複合機３は、紙原稿３ａをスキャンして，そのスキャンした画像をプリントするか、画像データファイルとして蓄積または送信するか、或いはＦＡＸ回線を使って送信するかという、スキャンした後での処理の違いしかない。従って、以下ではデジタル複合機３で紙原稿３ａをスキャンする場合に関してのみ説明する。コピーであってもＦＡＸ送信であっても同様の処理を行えばよい。
【００５７】
図８は、紙原稿をスキャンする場合の処理を説明するための図である。図８中、ポリシーサーバＡ３０は、デバイスセキュリティポリシー３１と、ポリシーサーバＢプログラム３２と、デバイスセキュリティ属性ＤＢ３４とを有する。他構成は前述の通りであるため説明を省略する。
【００５８】
図８において、ユーザ９は紙原稿３ａをスキャンする際に、まずユーザ認証のためのユーザ名、パスワード（ユーザ認証情報）をオペレーションパネルで入力する（ステップＳ８１）。デジタル複合機３内部で稼動するスキャンプログラム３ｐは、ユーザ９から受け取ったユーザ認証情報をユーザ認証サーバ１０に送信する（ステップＳ８２）。
【００５９】
ユーザ認証サーバ１０では、ユーザ認証プログラム１２がユーザ管理ＤＢ１４を参照してユーザ認証を行い、そのユーザ認証結果を受け取るユーザ端末１へ送信する（ステップＳ８３）。
【００６０】
デジタル複合機３では、スキャンプログラム３ｐが、ユーザ認証結果がユーザ認証に成功したことを示す場合、メインの画面をオペレーションパネルに表示して、ユーザ９は、デジタル複合機３のスキャンボタンを押す（ステップＳ８４）。
【００６１】
デジタル複合機３のスキャンプログラム３ｐは、ユーザ認証結果と、そのデジタル複合機３の識別番号（スキャンデバイス情報）と、アクセス種別（この場合は「スキャン」）をポリシーサーバＢ３０に送信して、ポリシーサーバＢプログラム３０が、デバイスセキュリティポリシー３１とデバイスセキュリティ属性ＤＢ３４とを参照することによって、そのユーザ９がそのデジタル複合機３においてスキャンを行う権限を持っているか否かを確認する（ステップＳ８５）。
【００６２】
デジタル複合機３は、ポリシーサーバＢ３０から許可／不許可と責務とを含むポリシー判定結果Ｂを受け取る（ステップＳ８６）。ポリシー判定結果Ｂが許可を示す場合には紙原稿３ａのスキャンを実行する。スキャンプログラム３ｐは、スキャンして得られた画像データの背景パターンを解析して、特別な背景パターンが入っているかどうかを判定する。
【００６３】
スキャンプログラム３ｐは、ユーザ認証結果と、背景パターンの種別を含むリアルタイム検出情報と、スキャンデータと、アクセス種別（この場合は「スキャン」）、ポリシー判定結果ＢとをポリシーサーバＡ２０に送信し、ポリシーサーバＡプログラム２０がそのユーザ９がその紙原稿３ａに対してスキャンを行う権限を持っているか否か確認する（ステップＳ８７）。
【００６４】
デジタル複合機３は、ポリシーサーバＡプログラム２０から許可／不許可と責務とを含むポリシー判定結果Ａを受け取り（ステップＳ８８）、許可されている場合にはスキャン処理を最後まで実行する。例えば、指定された送信先にスキャンデータを送信するなどを行う。
【００６５】
ポリシーサーバＡプログラム２０は、ポリシー判定を行う際に、ポリシー判定結果Ｂ（すなわち、デバイスセキュリティポリシー３１に従った判定結果）とドキュメントセキュリティポリシー２１に従ったポリシー判定結果のそれぞれに含まれる責務を、予めポリシーサーバＡプログラム２２に設定されている合成ルールに基づいて合成する。
【００６６】
合成できない場合にはポリシー判定結果Ａを不許可にする（図９を用いて後述される）。スキャンプログラム３ｐは、ポリシー判定結果Ａが不許可、または判定結果の責務が実行できない場合にはスキャンの処理を中止してエラーとして終了させる。
【００６７】
スキャンプログラム３ｐは、以上の処理結果をユーザに表示して終了する（ステップＳ８９）。
【００６８】
ポリシーサーバＡプログラム２２は、更に、スキャンプログラム３ｐから受け取ったスキャンデータをコンテンツ解析サーバ４０へ送信する（ステップＳ９０）。コンテンツ解析サーバ４０のコンテンツ解析プログラム４２は、処理した紙原稿３ａのスキャンデータの背景や文面を解析してセキュリティ属性の推定を行う。ポリシーサーバＡプログラム２２は、推定されたセキュリティ属性を受け取り、その属性に応じてドキュメントセキュリティポリシー２１に従った後処理を実行する。例えば、管理者への通報メールを出すなどを行う。
【００６９】
上述したような処理フローによって、スキャンプログラム３ｐは、デジタル複合機３に対する利用権限とドキュメントに対する利用権限の双方がある場合にのみスキャンを許可することができる。
【００７０】
そして、その権限判定処理をリアルタイムに分かる範囲の情報に基づいて行うことでユーザに余計な待ち時間を強要しない。一方、更にスキャンデータのコンテンツを解析することにより、万が一機密文書が権限のないユーザに不正にスキャンされた場合にはそれを後で管理者が知ることができる。このようにしてセキュリティと使い勝手を両立させたシステムを実現できる。
【００７１】
図９は、ドキュメントセキュリティポリシーとデバイスセキュリティポリシーとの組み合わせによる対応を示すテーブルである。図９に示すテーブルＴＢＬ５０は、ドキュメントセキュリティポリシー２１によって示される許可又は不許可と、デバイスセキュリティポリシー３１によって示される許可又は不許可との組み合わせに基づいて、処理の実行を許可するか不許可とするかを指定している。
【００７２】
テーブルＴＢＬ５０において、ドキュメントセキュリティポリシー２１が許可を示し、デバイスセキュリティポリシー３１が許可を示す組み合わせの場合、処理の実行は許可される。但し、ドキュメントセキュリティポリシーとデバイスセキュリティポリシーとの責務を所定の責務合成ルールで合成したものを強制する。この場合、責務が強制できない場合には、処理の実行は不許可となる。
【００７３】
ドキュメントセキュリティポリシー２１が不許可を示し、デバイスセキュリティポリシー３１が許可を示す組み合わせの場合、処理の実行は不許可となる。また、ドキュメントセキュリティポリシー２１が許可を示し、デバイスセキュリティポリシー３１が不許可を示す組み合わせの場合、処理の実行は不許可となる。更に、ドキュメントセキュリティポリシー２１が不許可を示し、デバイスセキュリティポリシー３１が不許可を示す組み合わせの場合、処理の実行は不許可となる。
【００７４】
図１０は、責務合成ルールの例を示す図である。図１０において、責務合成ルール「Simple-merge」は、ドキュメントセキュリティポリシー２１で指定されている責務（Obligations）とデバイスセキュリティポリシー３１で指定されている責務（Obligations）をそのままマージする。競合する責務（Obligation）が存在した場合、合成エラーという合成結果になる。
【００７５】
責務合成ルール「Document-only」は、ドキュメントセキュリティポリシー２１で指定されている責務（Obligations）のみを採用する。従って、合成エラーになることはない。すでにポリシーが決められているドキュメントに対しては、ドキュメントセキュリティポリシー２１に従い、それ以外のドキュメントに対してはデバイスセキュリティポリシー３１を適用する、という考え方で運用するなら、責務合成ルール「Document-only」を設定しておけばよい。
【００７６】
責務合成ルール「Device-only」は、デバイスセキュリティポリシー３１で指定されている責務（Obligations）のみを採用する。従って、合成エラーになることはない。
【００７７】
責務合成ルール「Document-preference-merge」は、ドキュメントセキュリティポリシー２１で指定されている責務（Obligations）とデバイスセキュリティポリシー３１で指定されている責務（Obligations）をマージする。競合する責務（Obligation）が存在した場合、ドキュメントセキュリティポリシー２１で指定されている方を採用する。従って、合成エラーになることはない。
【００７８】
責務合成ルール「Device-preference-merge」は、ドキュメントセキュリティポリシー２１で指定されている責務（Obligations）とデバイスセキュリティポリシー３１で指定されている責務（Obligations）をマージする。競合する責務（Obligations）が存在した場合、デバイスセキュリティポリシー３１で指定されている方を採用する。従って、合成エラーになることはない。
【００７９】
どの責務合成ルールを使用するかは、ポリシーサーバＡプログラム２０の管理者がプログラムに設定する。
【００８０】
図１１は、紙原稿をスキャンするための処理シーケンスを示す図である。図１１中、各プログラムへの要求（実線）は、関数コールによって行われ、その関数コールによる処理結果は戻り値として返される（点線）。
【００８１】
図１１において、ユーザ９は、デジタル複合機３のオペレーションパネルからユーザ認証情報を入力してユーザ認証を要求する（ステップＳ１０１）。デジタル複合機３のスキャンプログラム３ｐは、ユーザ９から取得したユーザ認証情報を含むユーザ認証要求をユーザ認証サーバ１０へと送信する（ステップＳ１０２）。
【００８２】
ユーザ認証サーバ１０では、ユーザ認証プログラム１２が、デジタル複合機３から受信したユーザ認証情報に基づいてユーザ認証処理を実行し（ステップＳ１０３）、その結果をユーザ認証結果としてスキャンプログラム３ｐへと返す（ステップＳ１０４）。
【００８３】
スキャンプログラム３ｐは、ユーザ認証結果がユーザ９の認証成功を示す場合、メイン画面を表示する（ステップＳ１０５）。ユーザ認証結果がユーザ９の認証失敗を示す場合、認証失敗をユーザ９に通知し、ユーザ９による処理を実行しない。
【００８４】
ユーザ９は、紙原稿３ａをデジタル複合機３にセットして、紙原稿３ａをスキャンするための紙原稿スキャン要求をデジタル複合機３に対して行う（ステップＳ１０６）。デジタル複合機３のスキャンプログラム３ｐは、ユーザ９の紙原稿スキャン要求に応じて、ユーザ９がスキャンするためのデバイスの利用権を判定するために、デバイス利用権判定要求をポリシーサーバＢ３０に送信する（ステップＳ１０７）。デバイス利用権判定要求では、ユーザ認証結果、スキャンデバイス情報、アクセス種別などが指定される。
【００８５】
ポリシーサーバＢ３０では、ポリシーサーバＢプログラム３２が、デバイスセキュリティポリシー３１とデバイスセキュリティ属性ＤＢ３４とを参照することによってデバイス利用権判定処理を実行し（ステップＳ１０８）、その結果をデバイス利用権判定結果（図８に示すポリシー判定結果Ｂに相当）としてスキャンプログラム３ｐへ返す（ステップＳ１０９）。
【００８６】
スキャンプログラム３ｐは、デバイス利用権判定結果が不許可を示す場合、ユーザ９にスキャンするためのデバイスの利用権がないことを通知して処理を終了する。一方、デバイス利用権判定結果が許可を示す場合、スキャンプログラム３ｐは、紙原稿スキャンを実行する（ステップＳ１１０）。そして、スキャンプログラム３ｐは、スキャンした紙原稿３ａのスキャンデータから紙原稿３ａの背景パターンを検出する背景パターン検出処理を実行する（ステップＳ１１１）。
【００８７】
スキャンプログラム３ｐは、ポリシーサーバＡ２０へドキュメントの利用権を判定するためにドキュメント利用権判定要求を送信する（ステップＳ１１２）。ドキュメント利用権判定要求には、ユーザ認証結果、ステップＳ１１１での背景パターン検出処理によるリアルタイム検出情報、スキャンデータ、アクセス種別、デバイス利用権判定結果（図８に示すポリシー判定結果Ｂに相当）などが指定される。
【００８８】
ポリシーサーバＡ２０では、ポリシーサーバＡプログラム２２が、ドキュメントセキュリティポリシー２１とドキュメントセキュリティ属性ＤＢ２４とを参照することによってドキュメント利用権判定処理を実行する（ステップＳ１１３）。
【００８９】
また、ポリシーサーバＡプログラム２２は、図９に示すようなテーブルＴＢＬ５０と図１０に示すような責務合成ルールとを参照することによって、その結果としてのドキュメント利用権判定結果とデバイス利用権判定結果とに指定される責務とを合成する責務合成処理を実行する（ステップＳ１１４）。
【００９０】
そして、ポリシーサーバＡプログラム２２は、ステップＳ１１４での処理結果に基づくドキュメント利用権判定結果をデジタル複合機３へ送信する（ステップＳ１１５）。
【００９１】
その後、ポリシーサーバＡプログラム２２は、コンテンツ解析サーバ４０へスキャンデータを送信する（ステップＳ１１６）。コンテンツ解析サーバ４０では、コンテンツ解析プログラム４２が、スキャンデータの内容を解析するコンテンツ解析処理を実行し（ステップＳ１１７）、その結果をセキュリティ属性としてポリシーサーバＡプログラム２２へ返す（ステップＳ１１８）。
【００９２】
ポリシーサーバＡプログラム２２は、セキュリティ属性に基づいて事後責務判定処理を実行し（ステップＳ１１９）、その結果に応じた事後責務を実行する（ステップＳ１２０）。例えば、管理者への通報メールを出すなどを行う。
【００９３】
一方、ステップＳ１１２にてドキュメント利用権判定要求を送信後にステップＳ１１５にてドキュメント利用権判定結果を戻り値として受信すると、スキャンプログラム３ｐは、ドキュメント利用権判定結果によって指定される責務を実行し（ステップ１１５−２）、スキャン完了処理を行う（ステップＳ１１５−４）。
【００９４】
スキャンプログラム３ｐは、スキャン完了処理の後、ステップＳ１０６での紙原稿スキャン要求に対する戻り値としてスキャン完了通知を行う（ステップＳ１１５−６）。そして、デジタル複合機３のオペレーションパネルにスキャン完了が表示されることによってユーザ９に通知される。
【００９５】
デバイスセキュリティポリシー３１の構成について図１２で説明する。図１２は、デバイスセキュリティポリシーの構成例を示す図である。図１２において、デバイスセキュリティポリシー３１は、例えば、ＸＭＬ（eXtensible Markup Language）で記述され、<PolicySet>から</PolicySet>の間の記述によって定義される。
【００９６】
図１２に示すデバイスセキュリティポリシー３１には、使用しようとする機器に対する複数のポリシーが<Policy>から</Policy>の記述３１ａ、記述３１ｂ、・・・で定義される。
【００９７】
記述３１ａで定義されるポリシーの対象は、<Target>から</Target>の記述３１−１及び記述３１−５で定義される。記述３１−１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は事務所内での使用を示す“OFFICE_USE”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は関係者を示す“RELATED_PERSONS”であり、その関係者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）は、スキャンすることを示す“SCAN”、コピーすることを示す“COPY”、そしてＦＡＸすることを示す“FAX”である、
ことが定義される。
【００９８】
このような記述３１−１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述３１−２によって許可が定義される。
【００９９】
また、記述３１−３によって責務（<Obligation>）として、ログを記録することを示す“RECORD_AUDIT_DATA”の責務の種別（<Type>）が指定される。
【０１００】
記述３１−５では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は事務所内での使用を示す“OFFICE_USE”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）を制限しないことを示す“ANY”であり、また、権限レベルを制限しないことを示す“ANY”であること、
対象となる機能（<Actions>）はコピーを示す“COPY”である、
ことが定義される。
【０１０１】
このような記述３１−５で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述３１−６によって許可が定義される。
【０１０２】
また、記述３１−７によって責務（<Obligation>）として、通報メールを示す“ALERT_MAIL”の責務の種別（<Type>）が指定される。加えて、通報メールに記述するためのパラメータが、例えば、「％ｕが％ｍで％ｏしました（日時％ｄ）」などのように指定される。
【０１０３】
記述３１ｂで定義されるポリシーの対象は、<Target>から</Target>の記述３１−８で定義される。記述３１−８では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は使用制限のないことを示す“PUBLIC_USE”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は対象者を制限しないことを示す“ANY”であり、その対象者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）はスキャンすることを示す“SCAN”、コピーすることを示す“COPY”、そしてＦＡＸすることを示す“FAX”である、
ことが定義される。
【０１０４】
このような記述３１−８で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述３１−９によって許可が定義される。
【０１０５】
記述３１−８で定義される対象に対しては、責務（<Obligation>）は指定されない。
【０１０６】
デバイスセキュリティ属性ＤＢ３４の構成について図１３で説明する。図１３は、デバイスセキュリティ属性ＤＢの構成例を示す図である。図１３において、デバイスセキュリティ属性ＤＢ３４は、装置を識別するためのデバイス識別情報（ＤＥＶＩＣＥ  ＩＤ）、装置の使用範囲を示すカテゴリ（ＣＡＴＥＧＯＲＹ）、装置を使用する部門などを示す関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ）、装置の使用を管理する管理者（ＡＤＭＩＮＩＳＴＲＡＴＯＲＳ）などの項目を有する。
【０１０７】
デバイスセキュリティ属性ＤＢ３４では、デバイス識別情報（ＤＥＶＩＣＥ  ＩＤ）として「ＭＦＰ０００１２３」、「ＭＦＰ０００１２４」、「ＬＰ０００３３」などが管理されている。カテゴリ（ＣＡＴＥＧＯＲＹ）として、事務所内（部門内）のユーザのみ使用可を示す「ＯＦＦＩＣＥ＿ＵＳＥ」、事務所内（部門内）及び外のユーザ全てに使用可を示す「ＰＵＢＬＩＣ＿ＵＳＥ」などが設定される。
【０１０８】
例えば、デバイス識別情報（ＤＥＶＩＣＥ  ＩＤ）が「ＭＦＰ０００１２３」で識別される装置のカテゴリ（ＣＡＴＥＧＯＲＹ）は、事務所内（部門内）のユーザのみ使用可を示す「ＯＦＦＩＣＥ＿ＵＳＥ」で、装置を使用する部門などを示す関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ）として「Ｄｅｖｅｌｏｐｍｅｎｔ＿Ｓｅｃｔｉｏｎ＿１」のユーザに制限される。また、「ＭＦＰ０００１２３」で識別される装置の管理者は、「ｔａｎａｋａ」及び「ｙａｍａｄａ」である。
【０１０９】
次に、ドキュメントセキュリティポリシー２１の構成について図１４、図１５、図１６、及び図１７で説明する。図１４から図１７は、ドキュメントセキュリティポリシーの構成例を示す図である。図１４から図１７でドキュメントセキュリティポリシー２１が記述された１つのデータファイルとなる。図１４から図１７において、ドキュメントセキュリティポリシー２１は、例えば、ＸＭＬ（eXtensible Markup Language）で記述され、<PolicySet>から</PolicySet>の間の記述によって定義される。
【０１１０】
図１４から図１７に示すドキュメントセキュリティポリシー２１には、使用しようとするドキュメント（電子文書、紙文書などの種々の文書）に対する複数のポリシーが<PolicySet>から</PolicySet>の間の記述によって定義される。ドキュメントセキュリティポリシー２１では、更に、複数のポリシーを<PolicySet>から</PolicySet>の記述を用いて分類して定義している。
【０１１１】
図１４から図１７に示すドキュメントセキュリティポリシー２１には、使用しようとする機器に対する複数のポリシーが<Policy>から</Policy>の記述１２２０から記述１２７０で定義される。そして、記述１２２０から記述１２４０は、<PolicySet>から</PolicySet>で記述される基本ドキュメントポリシー１２１０ａに分類される。また、記述１２５０から記述１２７０は、<PolicySet>から</PolicySet>で記述される基本ドキュメントポリシー１２１０ｂに分類される。
【０１１２】
先ず、基本ドキュメントポリシー１２１０ａで定義されるポリシーについて説明する。
【０１１３】
記述１２２０で定義されるポリシーの対象は、<Target>から</Target>の記述１２２１で定義される。記述１２２１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は人事のドキュメントであることを示す“PERSONNEL”であり、その機密レベルはマル秘を示す“SECRET”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は関係者を示す“RELATED_PERSONS”であり、その関係者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）は、閲覧することを示す“READ”、コピーすることを示す“COPY”、スキャンすることを示す“SCAN”、そしてＦＡＸすることを示す“FAX”である、
ことが定義される。
【０１１４】
このような記述１２２１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述１２２５によって許可が定義される。
【０１１５】
記述１２２１で定義される対象に対しては、責務（<Obligation>）は指定されない。
【０１１６】
記述１２３０で定義されるポリシーの対象は、<Target>から</Target>の記述１２３１で定義される。記述１２３１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は人事関連のドキュメントであることを示す“PERSONNEL”であり、その機密レベルはマル秘を示す“SECRET”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は関係者を示す“RELATED_PERSONS”であり、その関係者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）は、複写することを示す“PRINT”である、
ことが定義される。
【０１１７】
このような記述１２３１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述１２３５によって許可が定義される。
【０１１８】
また、記述１２２７によって責務（<Obligation>）として、不正コピーされないようにプリントすることを示す“COPYGUARD_PRINTING”の責務の種別（<Type>）が指定される。加えて、パラメータによって、不正コピーされないようにする不正コピーガードが特定される。
【０１１９】
記述１２４０で定義されるポリシーの対象は、<Target>から</Target>の記述１２４１で定義される。記述１２４１ａでは、
対象となる資源（<Resource>）のカテゴリ（<Category>）は人事のドキュメントであることを示す“PERSONNEL”であり、その機密レベルはマル秘を示す“SECRET”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は対象者を制限しないことを示す“ANY”であり、対象者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）は、閲覧することを示す“READ”、プリントすることを示す“PRINT”、コピーすることを示す“COPY”、そしてスキャンすることを示す“SCAN”である、
ことが定義される。
【０１２０】
このような記述１２４１ａで定義される対象に対して、許可又は不許可を示す<Rule Effect=Deny />の記述１２４５ａによって不許可が定義される。
【０１２１】
また、記述１２４７ａによって責務（<Obligation>）として、通報メールを示す“ALERT_MAIL”の責務の種別（<Type>）が指定される。加えて、通報メールに記述するためのパラメータが、例えば、「この文書が％ｕが％ｍにより％ｏされました（日時％ｄ）」などのように指定される。
【０１２２】
記述１２４１ｂで定義されるポリシーの対象は、<Target>から</Target>の記述１２４１ｂで定義される。記述１２４１ｂでは、
対象となる資源（<Resource>）のカテゴリ（<Category>）は人事のドキュメントであることを示す“PERSONNEL”であり、その機密レベルはマル秘を示す“SECRET”であること、
対象となる人（<Subject>）のカテゴリ（<Category>）は対象者を制限しないことを示す“ANY”であり、対象者の権限レベルの制限をしないことを示す“ANY”であること、
対象となる機能（<Actions>）は、ＦＡＸすることを示す“FAX”である、
ことが定義される。
【０１２３】
このような記述１２４１ｂで定義される対象に対して、許可又は不許可を示す<Rule Effect=Deny />の記述１２４５ｂによって不許可が定義される。
【０１２４】
また、記述１２４７ｂによって責務（<Obligation>）として、ＦＡＸしようとした画像データを記録することを示す“RECORD_IMAGE_DATA”の責務の種別（<Type>）が指定される。この場合、パラメータは指定されない。
【０１２５】
次に、紙文書ポリシー１２１０ｂで定義されるポリシーについて説明する。
【０１２６】
記述１２５０で定義されるポリシーの対象は、<Target>から</Target>の記述１２５１で定義される。記述１２５１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は紙文書であることを示す“PAPER”であり、紙文書に対するセキュリティパターンとしての機密レベルは“３”であること、
対象となる人（<Subject>）の権限レベル（<Level>）は正社員であることを示す“REGULAR_STAFF”であること、
対象となる機能（<Actions>）は、コピーすることを示す“COPY” である、
ことが定義される。
【０１２７】
このような記述１２５１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述１２５７によって許可が定義される。
【０１２８】
また、記述１２５７によって責務（<Obligation>）として、通報メールを示す“ALERT_MAIL”の責務の種別（<Type>）が指定される。加えて、通報メールに記述するためのパラメータが、例えば、「％ｕが％ｍで％ｐの紙原稿を％ｏしました（日時％ｄ）」などのように指定される。
【０１２９】
記述１２６０で定義されるポリシーの対象は、<Target>から</Target>の記述１２６１で定義される。記述１２６１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は紙文書であることを示す“PAPER”であり、紙文書に対するセキュリティパターンとしての機密レベルは“３”であること、
対象となる人（<Subject>）の権限レベル（<Level>）は正社員であることを示す“REGULAR_STAFF”であること、
対象となる機能（<Actions>）は、スキャンすることを示す“SCAN” である、
ことが定義される。
【０１３０】
このような記述１２６１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述１２６７によって許可が定義される。
【０１３１】
また、記述１２６７によって責務（<Obligation>）として、画像解析によるドキュメントポリシーに従うことを示す“REFER_PRIMARY_POLICY”の責務の種別（<Type>）が指定される。この場合、パラメータは指定されない。
【０１３２】
記述１２７０で定義されるポリシーの対象は、<Target>から</Target>の記述１２７１で定義される。記述１２７１では、
対象となる資源（<Resource>）のカテゴリ（<Category>）は紙文書であることを示す“PAPER”であり、紙文書に対するセキュリティパターンとしての機密レベルは“UNKNOWN”（不明）であること、
対象となる人（<Subject>）の権限レベル（<Level>）に制限がないことを示す“ANY”であること、
対象となる機能（<Actions>）は、コピーすることを示す“COPY”、スキャンすることを示す“SCAN”、そしてＦＡＸすることを示す“FAX” である、
ことが定義される。
【０１３３】
このような記述１２７１で定義される対象に対して、許可又は不許可を示す<Rule Effect=Permit />の記述１２７５によって許可が定義される。
【０１３４】
また、記述１２７７によって責務（<Obligation>）として、画像解析によるドキュメントポリシーに従うことを示す“REFER_PRIMARY_POLICY”の責務の種別（<Type>）が指定される。この場合、パラメータは指定されない。
【０１３５】
次に、ドキュメントポリシーの設定方法について図１８及び図１９で説明する。図１８は、基本ドキュメントポリシーを設定するための設定画面例を示す図である。図１８に示す設定画面Ｇ４００では、例えば、設定域４０１に文書カテゴリとして「人事」、また、設定域４０２に機密レベルとして「マル秘」が設定される。
【０１３６】
また、「人事」の「マル秘」のドキュメントに対して、ユーザ区分と権限レベルとの組み合わせによって複数のポリシー４０９、４１９、・・・が設定される。
【０１３７】
ポリシー４０９において、設定域４０３にユーザ区分として「関係者」、また、設定４０４に権限レベルとして「問わず」が設定される。
【０１３８】
また、ポリシー４０９での選択域４０５では、「閲覧」と「印刷」とが管理者によって設定される。「コピー」と「スキャン」と「ファックス」とは、管理者によってリアルタイムに制御することができないため予め設定されている。
【０１３９】
設定域４０６では、選択域４０５の夫々に対応させて責務が設定される。例えば、「印刷」に対応する設定域４０６には、責務として「不正コピーガード」が設定される。
【０１４０】
更に、設定域４０７には、「正社員はコピー／スキャン可能」が設定され、「印刷」の責務「不正コピーガード」として適用するパターンポリシー（責務のパラメータに相当）が特定される。「正社員はコピー／スキャン可能」は、図１９で後述されるセキュリティパターンＮｏ．「３」に関連付けられている。
【０１４１】
ポリシー４１９において、設定域４０３にユーザ区分として「関係者以外」、また、設定４０４に権限レベルとして「問わず」が設定される。
【０１４２】
また、ポリシー４１９での選択域４１５では、「コピー」と「スキャン」と「ファックス」とは、管理者によってリアルタイムに制御することができないため予め設定されている。
【０１４３】
設定域４１６では、選択域４１５の夫々に対応させて責務が設定される。例えば、「コピー」と「スキャン」に対応する夫々の設定域４１６には、責務として「通報メール」が設定される。また、「ファックス」に対応する設定域４１６には、責務として「画像ログを蓄積」が設定される。
【０１４４】
更に、「コピー」と「スキャン」に対応する夫々の表示域４１７には、「通報メール」に記述される内容（責務のパラメータに相当）として「この文書が％ｕにより％ｏされました（日時％ｄ）」が表示される。％ｕにはユーザ名、％ｏには機能名、％ｄには日付が代入される。
【０１４５】
図１９は、紙文書に対するポリシーを設定するための設定画面例を示す図である。図１９に示す設定画面Ｇ５００では、例えば、設定域５０１にセキュリティパターンＮｏ．として「３」、また、設定域５０２にパターンポリシー名として「正社員のコピー／スキャン可能」が設定される。
【０１４６】
このセキュリティパターンＮｏ．「３」に対して、複数のポリシー５０９、５１９、・・・が権限レベルに対応して設定される。
【０１４７】
ポリシー５０９において、例えば、設定域５０３に権限レベルとして「正社員」が設定される。
【０１４８】
また、ポリシー５０９での選択域５０５では、「コピー」と「スキャン」とが管理者によって設定される。
【０１４９】
設定域５０６では、選択域５０５の夫々に対応させて責務が設定される。例えば、「コピー」に対応する設定域５０６には、責務として「通報メール」が設定される。また、「スキャン」に対応する設定域５０６には、責務として「画像解析（ドキュメントポリシーに従う）」が設定される。
【０１５０】
更に、「コピー」に対応する表示域５０７には、「通報メール」に記述される内容（責務のパラメータに相当）として「この文書が％ｕにより％ｏされました（日時％ｄ）」が表示される。％ｕにはユーザ名、％ｏには機能名、％ｄには日付が代入される。
【０１５１】
ポリシー５１９において、例えば、設定域５１３に権限レベルとして「派遣社員」が設定され、機能の選択域５１５と、各機能に対応する責務の設定域５１６とには、何も設定されない。
【０１５２】
このように、他のセキュリティパターンに対する設定５２０に対しても同様に設定される。
【０１５３】
ドキュメントセキュリティ属性ＤＢ２４の構成について図２０で説明する。図２０は、ドキュメントセキュリティ属性ＤＢの構成例を示す図である。図２０において、ドキュメントセキュリティ属性ＤＢ２４は、ドキュメントを識別するためのドキュメント識別情報（ＤＯＣＵＭＥＮＴ  ＩＤ）、ドキュメントの使用範囲を示すカテゴリ（ＣＡＴＥＧＯＲＹ）、ドキュメントの機密レベル（ＬＥＶＥＬ）、ドキュメントを使用する関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ）、ドキュメントの使用を管理する管理者（ＡＤＭＩＮＩＳＴＲＡＴＯＲＳ）などの項目を有する。
【０１５４】
ドキュメントセキュリティ属性ＤＢ２４では、ドキュメント識別情報（ＤＯＣＵＭＥＮＴ  ＩＤ）として「ＳＥＣ０００１２３」、「ＳＥＣ０００１２４」などが管理されている。カテゴリ（ＣＡＴＥＧＯＲＹ）として、人事部門を示す「ＰＥＲＳＯＮＮＥＬ」などが設定される。また、ドキュメントの機密レベル（ＬＥＶＥＬ）として、マル秘を示す「ＳＥＣＲＥＴ」、最高機密を示す「ＴＯＰ＿ＳＥＣＲＥＴ」などが設定される。
【０１５５】
例えば、ドキュメント識別情報（ＤＯＣＵＭＥＮＴ  ＩＤ）が「ＳＥＣ０００１２３」で識別されるドキュメントのカテゴリ（ＣＡＴＥＧＯＲＹ）は、機密レベル（ＬＥＶＥＬ）がマル秘を示す「ＳＥＣＲＥＴ」で、ドキュメントを使用する関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ）として「Ｐｅｒｓｏｎｎｅｌ＿Ｓｅｃｔｉｏｎ＿１」と「Ｐｅｒｓｏｎｎｅｌ＿Ｓｅｃｔｉｏｎ＿２」のユーザに制限される。また、「ＳＥＣ０００１２４」で識別されるドキュメントの管理者は、「ａｏｋｉ」及び「ｙａｍａｄａ」である。
【０１５６】
次に、スキャンプログラム３ｐによって行われる処理について図２１で説明する。図２１は、スキャンプログラムによって行われる処理を示す図である。図２１において、スキャンプログラム３ｐは、ユーザからユーザ認証情報（ユーザ名及びパスワード）を受け取る（ステップＳ２０１）。
【０１５７】
そして、スキャンプログラム３ｐは、そのユーザ認証情報をユーザ認証サーバ１０に送信し、ユーザ認証サーバ１０からユーザ認証結果を受信すると（ステップＳ２０２）、ユーザ認証に成功或いは失敗したかを判断する（ステップＳ２０３）。スキャンプログラム３ｐは、ユーザ認証に失敗した場合、デジタル複合機３のオペレーションパネルにユーザ認証エラーを表示してこの処理を終了する（ステップＳ２０４）。
【０１５８】
ユーザ認証に成功した場合、スキャンプログラム３ｐは、スキャナメイン画面を表示する（ステップＳ２０５）。その後、ユーザからスキャンスタート要求を受け取ると（ステップＳ２０６）、スキャンプログラム３ｐは、ユーザ認証結果、デバイスＩＤ（デジタル複合機３の識別番号）、アクセス種別（スキャン）を含むデバイス利用権判定要求をポリシーサーバＢ３０に送信し、ポリシーサーバＢ３０からデバイス利用権判定結果を受け取る（ステップＳ２０７）。
【０１５９】
スキャンプログラム３ｐは、デバイス利用権判定結果が許可又は不許可を示すかを判断する（ステップＳ２０８）。デバイス利用権判定結果が不許可を示す場合、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにデバイス利用権エラーを表示してこの処理を終了する（ステップＳ２０９）。
【０１６０】
デバイス利用権判定結果が許可を示す場合、スキャンプログラム３ｐは、紙原稿３ａのスキャンをスタートする（ステップＳ２１０）。そして、スキャンプログラム３ｐは、紙原稿３ａのスキャンによって生成されたスキャンデータの背景パターンを検出して検出パターンＩＤとして設定する（ステップＳ２１１）。スキャンプログラム３ｐは、背景パターンを検出できたか否かを判断する（ステップＳ２１２）。背景パターンを検出できなかった場合、検出パターンＩＤに「UNKNOWN」を設定する（ステップＳ２１３）。
【０１６１】
一方、検出パターンＩＤに背景パターンの検出結果を設定した後、スキャンプログラム３ｐは、ユーザ認証結果、検出パターンＩＤ、スキャンデータ、アクセス種別（スキャン）、デバイス利用権判定結果を含むドキュメント利用権判定要求をポリシーサーバＡ２０に送信し、ポリシーサーバＡ２０からドキュメント利用権判定結果を受け取る（ステップＳ２１４）。
【０１６２】
スキャンプログラム３ｐは、ドキュメント利用権判定結果が許可又は不許可を示すか否かを判断する（ステップＳ２１５）。ドキュメント利用権判定結果が不許可を示す場合、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにドキュメント利用権エラーを表示してこの処理を終了する（ステップＳ２１６）。
【０１６３】
ドキュメント利用権判定結果が許可を示す場合、スキャンプログラム３ｐは、ドキュメント利用権判定結果に含まれる責務を実行する（ステップＳ２１７）。スキャンプログラム３ｐは、責務が実行できたか否かを判断する（ステップＳ２１８）。責務が実行できなかった場合、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにポリシー制御エラーを表示してこの処理を終了する（ステップＳ２１９）。
【０１６４】
責務が実行できた場合、スキャンプログラム３ｐは、スキャンデータを指定されたあて先に出力する（ステップＳ２２０）。そして、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにスキャン完了メッセージを表示して、その処理を終了する（ステップＳ２２１）。
【０１６５】
次に、ポリシーサーバＡ２２によって行われる処理について図２２及び図２３で説明する。図２２及び図２３は、ポリシーサーバＡによって行われる処理を示す図である。図２２及び図２３でポリシーサーバＡによって行われる１つの連続した処理が示される。
【０１６６】
図２２において、ポリシーサーバＡ２０は、デジタル複合機３のスキャンプログラム３ｐからユーザ認証結果、検出パターンＩＤ、スキャンデータ、アクセス種別、デバイス利用権判定結果を含むドキュメント利用権判定要求を受け付ける（ステップＳ２３１）。
【０１６７】
ポリシーサーバＡ２０において、ドキュメント利用権判定要求を受信後、ポリシーサーバＡプログラム２２は、ドキュメントセキュリティポリシー２１を読み出して（ステップＳ２３２）、ユーザ認証結果に基づいてユーザ権限レベルを特定する（ステップＳ２３３）。
【０１６８】
ポリシーサーバＡプログラム２２は、<Resource>の<Category>がＰＡＰＥＲ（紙文書）、<Level>がドキュメント利用権判定要求の検出パターンＩＤで、<Subject>が特定したユーザ権限レベルまたはＡＮＹ、<Actions>がドキュメント利用権判定要求のアクセス種別またはＡＮＹ、を示す<Policy>を探す（ステップＳ２３４）。
【０１６９】
ポリシーサーバＡプログラム２２は、見つけた<Policy>の<Rule>のEffect値（Permit（許可）／Deny（不許可））と<Obligation>（責務）をドキュメント利用権判定結果とする（ステップＳ２３５）。ポリシーサーバＡ２２は、ドキュメント利用権判定結果が許可又は不許可を示すかを判断する（ステップＳ２３６）。ドキュメント利用権判定結果が不許可を示す場合、ポリシーサーバＡ２２は、ドキュメント利用権判定結果をスキャンプログラム３ｐに返してこの処理を終了する（ステップＳ２３７）。
【０１７０】
一方、ドキュメント利用権判定結果が許可を示す場合、ポリシーサーバＡプログラム２２は、デバイス利用権判定結果に含まれる責務と、ドキュメント利用権判定結果に含まれる責務とを合成する（ステップＳ２３８）。
【０１７１】
そして、ポリシーサーバＡプログラム２２は、責務の合成ができたか否かを判断する（ステップｓ２３９）。責務の合成ができない場合、ドキュメント利用権判定結果を不許可に変更し、ドキュメント利用権判定結果をスキャンプログラム３ｐに返して、この処理を終了する（ステップＳ２４０）。
【０１７２】
一方、責務の合成ができた場合、ポリシーサーバＡプログラム２２は、合成した責務をドキュメント利用権判定結果の責務に設定する（ステップＳ２４１）。そして、ポリシーサーバＡプログラム２２は、ドキュメント利用権判定結果をスキャンプログラム３ｐに返す（ステップＳ２４２）。
【０１７３】
ポリシーサーバＡプログラム２２は、ステップＳ２３５で見つけた<Policy>の<Obligation>（責務）がＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹであるか否かを判断する（ステップＳ２４３）。ステップＳ２３５で見つけた<Policy>の<Obligation>（責務）がＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹである場合、ポリシーサーバＡ２２は、スキャンデータを含むコンテンツ解析要求をコンテンツ解析サーバ４０に送信し、推定されたセキュリティ属性を受け取る（ステップＳ２４４）。
【０１７４】
ポリシーサーバＡプログラム２２は、コンテンツ解析サーバ４０から受信したセキュリティ属性に文書ＩＤが含まれているか否かを判断する（ステップＳ２４５）。セキュリティ属性に文書ＩＤが含まれている場合、ポリシーサーバＡプログラム２２は、セキュリティ属性ＤＢにその文書ＩＤに該当するレコードを探す（ステップＳ２４６）。そして、該当するレコードに記録されている文書カテゴリと、機密レベルと、関係者リストとを取得して、その文書カテゴリと、機密レベルとを推定されたセキュリティ属性とする（ステップＳ２４７）。
【０１７５】
ポリシーサーバＡプログラム２２は、ユーザ認証結果と関係者リストとを照合して、関係者であるか否かを判定する（ステップＳ２４８）。関係者である場合（ステップＳ２４９）、ポリシーサーバＡプログラム２２は、ユーザカテゴリに「ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮＳ」を設定し（ステップＳ２５０）、ステップＳ２５３へと進む。一方、関係者でない場合、ポリシーサーバＡ２２は、ユーザカテゴリに「ＡＮＹ」を設定し（ステップＳ２５１）、ステップＳ２５３へと進む。
【０１７６】
また、ステップＳ２４５にてセキュリティ属性に文書ＩＤが含まれていない場合、リシーサーバＡプログラム２２は、ユーザカテゴリに「ＡＮＹ」を設定し（ステップＳ２５２）、ステップＳ２５３へと進む。
【０１７７】
続けて、ポリシーサーバＡプログラム２２は、ドキュメントセキュリティポリシーを参照し、<Resource>の<Category>及び<Level>が推定されたセキュリティ属性にマッチし、<Subject>の<Category>及び<Level>がユーザのカテゴリと権限レベルにマッチし、<Actions>においてドキュメント利用権判定要求のアクセス種別がマッチする<Policy>を特定する（ステップＳ２４３）。
【０１７８】
そして、ポリシーサーバＡプログラム２２は、その<Policy>の<Obligation>の内容を実行して（ステップＳ２５４）、この処理を終了する。
【０１７９】
一方、ステップＳ２４３にてステップＳ２３５で見つけた<Policy>の<Obligation>（責務）がＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹでない場合、<Policy>の<Obligation>（責務）の内容を実行して（ステップＳ２５５）、この処理を終了する。
【０１８０】
図１１に示す紙原稿３ａをスキャンするための処理シーケンスでは、ステップＳ１１２にてスキャンプログラム３ｐからポリシーサーバＡプログラム３２へと送信されるドキュメント利用権判定要求には、スキャンデータが含まれている。
【０１８１】
スキャンデータを含むことによって、スキャンプログラム３ｐからポリシーサーバＡプログラム３２への送信回数を少なくすることができる。一方、ドキュメントの利用権がないことを瞬時に判断できる場合であっても、スキャンデータを常に送信することになるため、効率が悪くなる場合もある。従って、以下に、スキャンデータをポリシーサーバＡプログラム３２へスキャン完了処理の直前に送信するようにした場合について説明する。
【０１８２】
図２４は、スキャンデータをスキャン完了処理の直前に送信するようにした場合の紙原稿をスキャンするための処理シーケンスを示す図である。図２４中、各プログラムへの要求（実線）は、関数コールによって行われ、その関数コールによる処理結果は戻り値として返される（点線）。
【０１８３】
図２４において、ユーザ９は、デジタル複合機３のオペレーションパネルからユーザ認証情報を入力してユーザ認証を要求する（ステップＳ３０１）。デジタル複合機３のスキャンプログラム３ｐは、ユーザ９から取得したユーザ認証情報を含むユーザ認証要求をユーザ認証サーバ１０へと送信する（ステップＳ３０２）。
【０１８４】
ユーザ認証サーバ１０では、ユーザ認証プログラム１２が、デジタル複合機３から受信したユーザ認証情報に基づいてユーザ認証処理を実行し（ステップＳ３０３）、その結果をユーザ認証結果としてスキャンプログラム３ｐへと返す（ステップＳ３０４）。
【０１８５】
スキャンプログラム３ｐは、ユーザ認証結果がユーザ９の認証成功を示す場合、メイン画面を表示する（ステップＳ３０５）。ユーザ認証結果がユーザ９の認証失敗を示す場合、認証失敗をユーザ９に通知し、ユーザ９による処理を実行しない。
【０１８６】
ユーザ９は、紙原稿３ａをデジタル複合機３にセットして、紙原稿３ａをスキャンするための紙原稿スキャン要求をデジタル複合機３に対して行う（ステップＳ３０６）。デジタル複合機３のスキャンプログラム３ｐは、ユーザ９の紙原稿スキャン要求に応じて、ユーザ９がスキャンするためのデバイスの利用権を判定するために、デバイス利用権判定要求をポリシーサーバＢ３０に送信する（ステップＳ３０７）。デバイス利用権判定要求では、ユーザ認証結果、スキャンデバイス情報、アクセス種別などが指定される。
【０１８７】
ポリシーサーバＢ３０では、ポリシーサーバＢプログラム３２が、デバイスセキュリティポリシー３１とデバイスセキュリティ属性ＤＢ３４とを参照することによってデバイス利用権判定処理を実行し（ステップＳ３０８）、その結果をデバイス利用権判定結果（図８に示すポリシー判定結果Ｂに相当）としてスキャンプログラム３ｐへ返す（ステップＳ３０９）。
【０１８８】
スキャンプログラム３ｐは、デバイス利用権判定結果が不許可を示す場合、ユーザ９にスキャンするためのデバイスの利用権がないことを通知して処理を終了する。一方、デバイス利用権判定結果が許可を示す場合、スキャンプログラム３ｐは、紙原稿スキャンを実行する（ステップＳ３１０）。そして、スキャンプログラム３ｐは、スキャンした紙原稿３ａのスキャンデータから紙原稿３ａの背景パターンを検出する背景パターン検出処理を実行する（ステップＳ３１１）。
【０１８９】
スキャンプログラム３ｐは、ポリシーサーバＡ２０へドキュメントの利用権を判定するためにドキュメント利用権判定要求を送信する（ステップＳ３１２）。ドキュメント利用権判定要求には、ユーザ認証結果、ステップＳ３１１での背景パターン検出処理によるリアルタイム検出情報、アクセス種別、デバイス利用権判定結果（図８に示すポリシー判定結果Ｂに相当）などが指定される。この場合、スキャンデータは、ドキュメント利用権判定要求に含まれない。
【０１９０】
ポリシーサーバＡ２０では、ポリシーサーバＡプログラム２２が、ドキュメントセキュリティポリシー２１とドキュメントセキュリティ属性ＤＢ２４とを参照することによってドキュメント利用権判定処理を実行する（ステップＳ３１３）。
【０１９１】
また、ポリシーサーバＡプログラム２２は、図９に示すようなテーブルＴＢＬ５０と図１０に示すような責務合成ルールとを参照することによって、その結果としてのドキュメント利用権判定結果とデバイス利用権判定結果とに指定される責務とを合成する責務合成処理を実行する（ステップＳ３１４）。
【０１９２】
そして、ポリシーサーバＡプログラム２２は、ステップＳ３１４での処理結果に基づくドキュメント利用権判定結果をデジタル複合機３へ送信する（ステップＳ３１５）。
【０１９３】
デジタル複合機３において、ステップＳ３１２にてドキュメント利用権判定要求を送信後にステップＳ３１５にてドキュメント利用権判定結果を戻り値として受信すると、スキャンプログラム３ｐは、ドキュメント利用権判定結果によって指定される責務を実行し（ステップ１１６）、スキャンデータを含む詳細ポリシー判定処理要求をポリシーサーバＡ２０へ送信する（ステップＳ３１７）。
【０１９４】
詳細ポリシー判定処理とは、以下のコンテンツ解析処理（ステップＳ３１９）と、事後責務判定処理（ステップＳ３２０）と、事後責務実行（Ｓ３２２）とによる、コンテンツ解析プログラム４２によって行われる処理である。
【０１９５】
ポリシーサーバＡ２０では、スキャンデータを含む詳細ポリシー判定処理要求を受信すると、ポリシーサーバＡプログラム２２が、詳細ポリシー判定処理要求に含まれるスキャンデータを取得してコンテンツ解析サーバ４０へそのスキャンデータを送信する（ステップＳ３１８）。
【０１９６】
コンテンツ解析サーバ４０では、コンテンツ解析プログラム４２が、スキャンデータの内容を解析するコンテンツ解析処理を実行し（ステップＳ３１９）、その結果をセキュリティ属性としてポリシーサーバＡプログラム２２へ返す（ステップＳ３２０）。
【０１９７】
ポリシーサーバＡプログラム２２は、セキュリティ属性に基づいて事後責務判定処理を実行し（ステップＳ３２１）、その結果に応じた事後責務を実行する（ステップＳ３２２）。例えば、管理者への通報メールを出すなどを行う。
【０１９８】
一方、デジタル複合機３では、ステップＳ３１７でのスキャンデータを含む詳細ポリシー判定処理要求をポリシーサーバＡ２０へ送信後、スキャンプログラム３ｐスキャン完了処理を行う（ステップＳ１１７−２）。
【０１９９】
スキャンプログラム３ｐは、スキャン完了処理の後、ステップＳ３０６での紙原稿スキャン要求に対する戻り値としてスキャン完了通知を行う（ステップＳ３１７−４）。そして、デジタル複合機３のオペレーションパネルにスキャン完了が表示されることによってユーザ９に通知される。
【０２００】
例えば、図２４に示す処理シーケンスは、ステップＳ３１７での詳細ポリシー判定処理要求後に、責務（Obligation）として「本来のポリシーを参照」することを指定するＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹが指定された場合にのみポリシーサーバＡ２０にスキャンデータを送信し、コンテンツ解析処理を行うような場合に適応することができる。
【０２０１】
このように責務を実行後に詳細ポリシー判定処理を行う場合の処理について図２５、図２６、及び図２７で説明する。
【０２０２】
図２５は、責務を実行後に詳細ポリシー判定処理を行う場合のスキャンプログラムによって行われる処理を説明するための図である。図２５中、図２１と同様のステップには同一符号を付し、その説明を省略する。従って、ステップＳ２０１からＳ２１３までの説明を省略する。
【０２０３】
スキャンデータの背景パターンを検出して検出パターンＩＤとした後（ステップＳ２１１からＳ２１３）、スキャンプログラム３ｐは、ユーザ認証結果、検出パターンＩＤ、アクセス種別（スキャン）、デバイス利用権判定結果を含むドキュメント利用権判定要求をポリシーサーバＡ２０に送信し、ポリシーサーバＡ２０からドキュメント利用権判定結果を受け取る（ステップＳ２１４−５）。この場合、スキャンデータは、ドキュメント利用権判定要求に含まれない。
【０２０４】
スキャンプログラム３ｐは、ドキュメント利用権判定結果が許可又は不許可を示すか否かを判断する（ステップＳ２１５−５）。ドキュメント利用権判定結果が不許可を示す場合、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにドキュメント利用権エラーを表示してこの処理を終了する（ステップＳ２１６−５）。
【０２０５】
ドキュメント利用権判定結果が許可を示す場合、スキャンプログラム３ｐは、ドキュメント利用権判定結果に含まれる責務を実行する（ステップＳ２１７−５）。スキャンプログラム３ｐは、責務が実行できたか否かを判断する（ステップＳ２１８−５）。責務が実行できなかった場合、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにポリシー制御エラーを表示してこの処理を終了する（ステップＳ２１９−５）。
【０２０６】
責務が実行できた場合、スキャンプログラム３ｐは、責務にＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹが含まれているか否かを判断する（ステップＳ２２０−５）。責務にＲＥＦＥＲ＿ＰＲＩＭＡＲＹ＿ＰＯＬＩＣＹが含まれている場合、スキャンプログラム３ｐは、ユーザ認証結果、スキャンデータ、アクセス種別（スキャン）を含む詳細ポリシー判定処理要求をポリシーサーバＡ２０へ送信する（ステップＳ２２１−５）。
【０２０７】
責務の実行後、スキャンプログラム３ｐは、スキャンデータを指定されたあて先に出力する（ステップＳ２２２−５）。そして、スキャンプログラム３ｐは、デジタル複合機３のオペレーションパネルにスキャン完了メッセージを表示して、その処理を終了する（ステップＳ２２３−５）。
【０２０８】
図２６は、責務を実行後に詳細ポリシー判定処理を行う場合のポリシーサーバＡプログラムによって行われるドキュメント利用権判定処理を説明するための図である。図２６中、図２２と同様のステップには同一符号を付し、その説明を省略する。
【０２０９】
図２６に示すドキュメント利用権判定処理において、ポリシーサーバＡプログラム２２は、ステップＳ２３１からＳ２４１までの処理を実行した後、図２２に示すステップＳ２４３からＳ２５５を連続して処理することなく、ドキュメント利用権判定結果をスキャンプログラム３ｐに返して、この処理を終了する（ステップＳ２４２−５）。
【０２１０】
図２７は、責務実行後にポリシーサーバＡプログラムによって行われる詳細ポリシー判定処理を説明するための図である。図２７中、図２２と同様のステップには同一符号を付し、その説明を省略する。
【０２１１】
図２７に示す詳細ポリシー判定処理において、ポリシーサーバＡ２０は、デジタル複合機３のスキャンプログラム３ｐからユーザ認証結果、スキャンデータ、アクセス種別を含む詳細ポリシー判定処理要求を受け付ける（ステップＳ２４３−２）。
【０２１２】
ポリシーサーバＡ２０において、詳細ポリシー判定処理要求を受信後、ポリシーサーバＡプログラム２２は、ドキュメントセキュリティポリシー２１を読み出す（ステップＳ２４３−４）。また、ポリシーサーバＡプログラム２２は、ユーザ認証結果に基づいてユーザ権限レベルを特定する（ステップＳ２４３−６）。
【０２１３】
以降、ポリシーサーバＡプログラム２２は、図２３に示すステップＳ２４４からＳ２５３と同様の処理を行い、特定された<Policy>の<Obligation>の内容を実行して、この処理を終了する（ステップＳ２５４−５）。
【０２１４】
このようなドキュメントセキュリティシステム１００にて、第一の例として、正社員である「ｓａｋａｉ」さんが、開発部の「ＭＦＰ０００１２３」で識別されるデジタル複合機３を用いて一般の原稿をコピーした場合について説明する。
【０２１５】
この場合、「ｓａｋａｉ」さんは、「ＭＦＰ０００１２３」のデジタル複合機３の関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮ）ではないため、デバイスセキュリティポリシー３１に従って一般の原稿をコピーすることは許可されるが、通報メール（ＡＬＥＲＴ＿ＭＡＩＬ）が責務となる。この場合、図２８に示すような通報メールが送信される。
【０２１６】
図２８は、一般の原稿をコピーした場合の責務として送信される通報メールの例を示す図である。図２８に示す通報メール５１には、例えば、
ＡＬＥＲＴ＿ＭＡＩＬ
ｓａｋａｉがＭＦＰ０００１２３でコピーしました（日時20051208173522）
のようなメッセージが示される。
【０２１７】
第二の例として、人事のマル秘文書であり「ＳＥＣ０００１２３」で識別される保護済み文書１ｃを印刷した紙文書２ｃを、正社員である「ｓａｋａｉ」さんが、開発部の「ＭＦＰ０００１２３」で識別されるデジタル複合機３を用いてコピーした場合について説明する。保護済み文書１ｃを印刷した紙文書２ｃにはパターンＮｏ．３の不正コピーガード印刷がなされている。
【０２１８】
「ｓａｋａｉ」さんは、「ＭＦＰ０００１２３」のデジタル複合機３の関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮ）ではないが、デバイスセキュリティポリシー３１に従ってコピーは許可される。しかし、「ｓａｋａｉ」さんがコピーする場合には、通報メール（ＡＬＥＲＴ＿ＭＡＩＬ）が責務となる。
【０２１９】
「ｓａｋａｉ」さんが「ＭＦＰ０００１２３」のデジタル複合機３でコピーをすると、紙文書２ｃからパターンＮｏ．３が検出されるため、紙文書２ｃに対するポリシーに従ってコピーが許可されるか否かを判断する。「ｓａｋａｉ」さんは正社員であるので、コピーが許可されるが、通報メールが責務となる。
【０２２０】
従って、デバイスセキュリティポリシー３１の責務とドキュメントセキュリティポリシー２１（紙文書１ｃに対するポリシー）の責務とが合成される。この場合、図２９に示すような通報メールが送信される。
【０２２１】
図２９は、保護済み文書を印刷した紙文書をコピーした場合の責務として送信される通報メールの例を示す図である。図２９に示す通報メール５２には、例えば、
ＡＬＥＲＴ＿ＭＡＩＬ
ｓａｋａｉがＭＦＰ０００１２３でコピーしました（日時20051208173522）
ｓａｋａｉがＭＦＰ０００１２３で「正社員はコピー／スキャン可能」の紙原稿をコピーしました（日時20051208173522）
のようなメッセージが示される。
【０２２２】
第三の例として、人事のマル秘文書であり「ＳＥＣ０００１２３」で識別される保護済み文書１ｃのオリジナル文書１ｂを印刷した紙文書２ｃを、正社員である「ｓａｋａｉ」さんが、開発部の「ＭＦＰ０００１２４」で識別されるデジタル複合機３を用いてスキャンした場合について説明する。オリジナル文書１ｂを印刷した紙文書２ｃにはパターンが印刷されていない。
【０２２３】
「ｓａｋａｉ」さんは、「ＭＦＰ０００１２４」のデジタル複合機３の関係者（ＲＥＬＡＴＥＤ＿ＰＥＲＳＯＮ）ではないため、紙文書２ｃをスキャンすることによって得られたスキャンデータをドキュメントセキュリティポリシー２１に従って責務として画像解析が行われる。
【０２２４】
画像解析の結果、紙文書２ｃは「ＳＥＣ０００１２３」に相当する内容であることが分かり、「ｓａｋａｉ」さんは人事部の関係者ではないことが判明すると、人事及びマル秘に関するドキュメントセキュリティポリシー２１に従って事後責務として、図３０に示すような通報メールが送信される。
【０２２５】
図３０は、オリジナル文書を印刷した紙文書をスキャンした場合の責務として送信される通報メールの例を示す図である。図３０に示す通報メール５３には、例えば、
ＡＬＥＲＴ＿ＭＡＩＬ
この文書がｓａｋａｉによりスキャンされました（日時20051208173522）
のようなメッセージが示されると共に、スキャンされた文書画像「20051208173522.tif」が添付ファイルとして送信される。
【０２２６】
上述より、本発明に係るドキュメントセキュリティシステム１００では、機器に対するユーザの利用権限に基づいて許可され、かつ、ドキュメントに対するユーザの利用権限に基づいて許可される場合に該ユーザによって要求された処理を実行し、該ドキュメントの画像データから取得したドキュメントの種別に応じた事後責務を実行することができる。
【０２２７】
本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【図面の簡単な説明】
【０２２８】
【図１】本発明の一実施例に係るドキュメントセキュリティシステムのネットワーク構成を示す図である。
【図２】オリジナル文書を保護するための処理フローを示す図である。
【図３】保護済み文書を印刷するための処理フローを示す図である。
【図４】紙原稿をコピー、スキャン、又はＦＡＸ送信を行う場合の処理フローを示す図である。
【図５】オリジナル文書を保護するための構成を示す図である。
【図６】文書保護プログラムによる保護済み文書の生成する処理の概要を説明するための図である。
【図７】保護済み文書にアクセスする処理について説明するための図である。
【図８】紙原稿をスキャンする場合の処理を説明するための図である。
【図９】ドキュメントセキュリティポリシーとデバイスセキュリティポリシーとの組み合わせによる対応を示すテーブルである。
【図１０】責務合成ルールの例を示す図である。
【図１１】紙原稿をスキャンするための処理シーケンスを示す図である。
【図１２】デバイスセキュリティポリシーの構成例を示す図である。
【図１３】デバイスセキュリティ属性ＤＢの構成例を示す図である。
【図１４】ドキュメントセキュリティポリシーの構成例を示す図である。
【図１５】ドキュメントセキュリティポリシーの構成例を示す図である。
【図１６】ドキュメントセキュリティポリシーの構成例を示す図である。
【図１７】ドキュメントセキュリティポリシーの構成例を示す図である。
【図１８】基本ドキュメントポリシーを設定するための設定画面例を示す図である。
【図１９】基本ドキュメントポリシーを設定するための設定画面例を示す図である。
【図２０】ドキュメントセキュリティ属性ＤＢの構成例を示す図である。
【図２１】スキャンプログラムによって行われる処理を示す図である。
【図２２】ポリシーサーバＡによって行われる処理を示す図である。
【図２３】ポリシーサーバＡによって行われる処理を示す図である。
【図２４】スキャンデータをスキャン完了処理の直前に送信するようにした場合の紙原稿をスキャンするための処理シーケンスを示す図である。
【図２５】責務を実行後に詳細ポリシー判定処理を行う場合のスキャンプログラムによって行われる処理を説明するための図である。
【図２６】責務を実行後に詳細ポリシー判定処理を行う場合のポリシーサーバＡプログラムによって行われるドキュメント利用権判定処理を説明するための図である。
【図２７】責務実行後にポリシーサーバＡプログラムによって行われる詳細ポリシー判定処理を説明するための図である。
【図２８】一般の原稿をコピーした場合の責務として送信される通報メールの例を示す図である。
【図２９】保護済み文書を印刷した紙文書をコピーした場合の責務として送信される通報メールの例を示す図である。
【図３０】オリジナル文書を印刷した紙文書をスキャンした場合の責務として送信される通報メールの例を示す図である。
【符号の説明】
【０２２９】
１          ユーザ端末
１ｂ        オリジナル文書
１ｃ        保護済み文書
２          プリンタ
２ｃ        紙文書
３          デジタル複合機
３ａ        紙原稿
３ｐ        スキャンプログラム
４          管理者端末
７          ネットワーク
１０        ユーザ認証サーバ
１２        ユーザ認証プログラム
１４        ユーザ管理ＤＢ
２０        ポリシーサーバＡ
２０ｐ      文書保護プログラム
２１        ドキュメントセキュリティポリシー
２２        ポリシーサーバＡプログラム
２２ｃ      暗号化文書
２４        セキュリティ属性ＤＢ
３０        ポリシーサーバＢ
３１        デバイスセキュリティポリシー
３２        ポリシーサーバＢプログラム
３４        デバイスセキュリティ属性ＤＢ
４０        コンテンツ解析サーバ
４２        コンテンツ解析プログラム
４４        コンテンツ登録ＤＢ
【図１】
2007299322.tif 000003
【図２】
2007299322.tif 000004
【図３】
2007299322.tif 000005
【図４】
2007299322.tif 000006
【図５】
2007299322.tif 000007
【図６】
2007299322.tif 000008
【図７】
2007299322.tif 000009
【図８】
2007299322.tif 000010
【図９】
2007299322.tif 000011
【図１０】
2007299322.tif 000012
【図１１】
2007299322.tif 000013
【図１２】
2007299322.tif 000014
【図１３】
2007299322.tif 000015
【図１４】
2007299322.tif 000016
【図１５】
2007299322.tif 000017
【図１６】
2007299322.tif 000018
【図１７】
2007299322.tif 000019
【図１８】
2007299322.tif 000020
【図１９】
2007299322.tif 000021
【図２０】
2007299322.tif 000022
【図２１】
2007299322.tif 000023
【図２２】
2007299322.tif 000024
【図２３】
2007299322.tif 000025
【図２４】
2007299322.tif 000026
【図２５】
2007299322.tif 000027
【図２６】
2007299322.tif 000028
【図２７】
2007299322.tif 000029
【図２８】
2007299322.tif 000030
【図２９】
2007299322.tif 000031
【図３０】
2007299322.tif 000032